T-Mobile fandt Salt Typhoon – og klippede forbindelsen over

En mistænkelig forbindelse blev sporet

T-Mobile ser ud til at have begrænset et Salt Typhoon-angreb, før det udviklede sig til et bredt kompromittering af selskabets netværk. Sikkerhedsfolk opdagede unormal trafik på et internt system og brugte derefter flere måneder på at kortlægge, hvordan angriberne havde fået adgang.

Ifølge rapporteringen kom forbindelsen ikke direkte fra T-Mobiles kundevendte systemer. Hackerne havde i stedet bevæget sig gennem en wireline-udbyder – en fastnet- eller netværksleverandør med forbindelse til T-Mobile – og nået en router i teleselskabets infrastruktur. 34

Den sidste løsning var helt fysisk

I november 2024 tog daværende sikkerhedschef Jeff Simon og tre kolleger til et datacenter i Bellevue-området i delstaten Washington. Her fandt de den kompromitterede router, eller ”boks”, som forbindelsen gik gennem.

I stedet for at vente på en fjernmæssig oprydning afbrød de udstyrets eksterne netværksforbindelse ved ganske enkelt at klippe kablet over med en saks. Dermed blev routeren fysisk isoleret, og angribernes vej ind i T-Mobiles miljø blev lukket. 35

Det tilgængelige materiale peger på, at T-Mobile reagerede tidligt nok til at forhindre adgang til kundedata og undgå et omfattende brud på kernesystemerne. 1015

En del af en større spionagekampagne

Angrebet var knyttet til Salt Typhoon, som amerikanske myndigheder beskriver som en statssponsoreret trusselsaktør med forbindelse til Folkerepublikken Kina. Gruppen rettede sig mod teleselskaber og internetudbydere i en bred kampagne mod kommunikationsinfrastruktur. 12

Teleselskaber er attraktive mål, fordi deres netværk kan give adgang til kommunikationsmetadata, opkaldsregistre og systemer, der bruges til lovlig overvågning. Kampagnens formål synes derfor ikke kun at have været almindeligt datatyveri, men også langsigtet efterretningsindsamling.

Rapporteringen beskriver Salt Typhoon som en operation, der i 2024 kompromitterede ni amerikanske teleselskaber og mere end 200 organisationer på verdensplan. Det præcise antal ofre er dog ikke entydigt: Kilderne bruger forskellige definitioner af, om en virksomhed blot blev udpeget som mål, om angriberne fik adgang, eller om der faktisk skete et databrud. 51

Hvad med AT&T, Verizon, Viasat, Charter og Windstream?

AT&T og Verizon har offentligt bekræftet, at deres systemer blev ramt af eller var mål for Salt Typhoon-operationen. Begge selskaber har samtidig oplyst, at deres netværk var sikre igen, og at de samarbejdede med myndighederne. 24

De øvrige navne – Viasat, Charter og Windstream – bør ikke automatisk beskrives som identisk kompromitterede. Den offentlige dokumentation varierer fra selskab til selskab, og det er vigtigt at skelne mellem at være nævnt i forbindelse med kampagnen, at være mål for den og at have fået systemer eller data kompromitteret.

T-Mobile-historien illustrerer samtidig en mere grundlæggende sikkerhedsudfordring: Forbundne telesystemer og datacentre kan skabe uventede adgangsveje mellem virksomheder. I dette tilfælde var det ikke en spektakulær softwareløsning, men opdagelsen af den rigtige forbindelse – og beslutningen om at afbryde den fysisk – der stoppede angrebet.